Jeriko One discovered that newsbeuter, a text-mode RSS feed reader, did not properly escape the title and description of a news article when bookmarking it. This allowed a remote attacker to run an arbitrary shell command on the client machine.

For Debian 7 'Wheezy', these problems have been fixed in version 2.5-2+deb7u2.

We recommend that you upgrade your newsbeuter packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote host is affected by the vulnerability described in GLSA-201801-18 (Newsbeuter: User-assisted execution of arbitrary code)

    Newsbeuter does not properly escape shell meta-characters in the title       and description of RSS feeds when bookmarking.
  Impact :

    A remote attacker, by enticing a user to open a feed with specially       crafted URLs, could possibly execute arbitrary shell commands with the       privileges of the user running the application.
  Workaround :

    There is no known workaround at this time.

The remote Ubuntu 16.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-4585-1 advisory.

    It was discovered that Newsbeuter didn't handle the command line input properly. An remote attacker could     use it to ran remote code by crafting a special input file. (CVE-2017-12904)

    It was discovered that Newsbeuter didn't handle metacharacters in its filename properly. An remote     attacker could use it to ran remote code by crafting a special filename. (CVE-2017-14500)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのUbuntu 16.04LTSホストには、USN-4585-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Newsbeuterバージョン0.7〜2.9のブックマーク機能において、OSコマンドで使用される特殊要素の不適切な無効化により、リモートの攻撃者が、タイトルおよび/またはURLにシェルコードを含むRSSアイテムを細工することで、ユーザー支援のコード実行を実行する可能性があります。 (CVE-2017-12904)

  - Newsbeute 0.3～2.9のPodbeuterのポッドキャスト再生機能のOSコマンドで使用される特殊要素の不適切な無効化により、リモートの攻撃者が、ファイル名にシェルメタ文字を含むメディアエンクロージャ (すなわち、ポッドキャストファイル) を使用してRSSアイテムを細工することで、ユーザー支援のコード実行を実行する可能性があります。これは、pb_controller.cppおよびqueueloader.cppに関連し、CVE-2017-12904とは異なる脆弱性です。 (CVE-2017-14500)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Jeriko One氏は、テキストモードのRSSフィードリーダーであるNewsbeuterが、ニュース記事をブックマークするときに、タイトルや説明を適切にエスケープしないことを発見しました。これにより、リモート攻撃者がクライアントマシン上で任意のシェルコマンドを実行する可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン2.5-2+deb7u2で修正されています。

newsbeuterパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201801-18（Newsbeuter：ユーザー支援による任意のコードの実行）で説明されている脆弱性による影響を受けます。ブックマークするときのRSSフィードのタイトルと説明で、Newsbeuterはシェルのメタ文字を適切にエスケープしません。影響：リモートの攻撃者が、特別に細工されたURLをもつフィードを開くようにユーザーを誘導することで、アプリケーションを実行しているユーザーの権限で任意のシェルコマンドを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

Jeriko One 发现文本模式 RSS feed 阅读器 newsbeuter 在添加新闻文章书签时未正确转义新闻文章的标题和描述。这允许远程攻击者在客户端机器上运行任意 shell 命令。

Jeriko One 发现文本模式 RSS feed 阅读器 newsbeuter 在添加新闻文章书签时未正确转义新闻文章的标题和描述。这允许远程攻击者在客户端机器上运行任意 shell 命令。对于 Debian 7“Wheezy”，这些问题已在 2.5-2+deb7u2 版本中修复。建议您升级 newsbeuter 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

遠端 Ubuntu 16.04 LTS 主機上安裝的一個套件受到 USN-4585-1 公告中所提及的多個弱點影響。

  - 在 Newsbeuter 0.7 至 2.9 版的書籤功能中，OS 命令中使用的特殊元素未適當中和，允許遠端攻擊者透過特製 RSS 項目 (標題和/或 URL 中包含殼層程式碼)，發起使用者協助的程式碼執行攻擊。(CVE-2017-12904)

  - 在 Newsbeuter 0.3 至 2.9 版中，Podbeuter 的 podcast 回放功能中會不當中和 OS 命令中使用的特殊元素，遠端攻擊者可透過特製檔案名稱中包含 shell metacharacter 的具有媒體封殼 (即 podcast 檔案) 的 RSS 項目，發起使用者協助的程式碼執行攻擊，此弱點與 pb_controller.cpp 和 queueloader.cpp 有關，與 CVE-2017-12904 不同。(CVE-2017-14500)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Jeriko One 發現文字模式 RSS 摘要閱讀軟體 newsbeuter 在標示書籤時，未正確跳脫新聞文章的標題和說明。遠端攻擊者可藉此在用戶端機器上執行任意 shell 命令。

远程主机受到 GLSA-201801-18 中所述漏洞的影响（Newsbeuter：用户协助的任意代码执行）加入书签时，Newsbeuter 未正确避开 RSS 摘要标题和说明中的 shell 元字符。影响：远程攻击者可引诱用户打开具有特制 URL 的摘要，进而可能以运行应用程序的用户权限执行任意 shell 命令。解决方法：目前无任何已知的解决方法。

Jeriko One 發現文字模式 RSS 摘要閱讀軟體 newsbeuter 在標示書籤時，未正確跳脫新聞文章的標題和說明。遠端攻擊者可藉此在用戶端機器上執行任意 shell 命令。針對 Debian 7「Wheezy」，這些問題已在 2.5-2+deb7u2 版本中修正。建議您升級 newsbeuter 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Jeriko One discovered that newsbeuter, a text-mode RSS feed reader, did not properly escape the title and description of a news article when bookmarking it. This allowed a remote attacker to run an arbitrary shell command on the client machine.

This update for newsbeuter fixes one issues.

This security issue was fixed :

  - CVE-2017-12904: Improper neutralization of special     elements allowed remote attackers to perform     user-assisted code execution by crafting an RSS item     that includes shell code in its title and/or URL     (bsc#1054578).

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4585-1 公告中提及的多个漏洞的影响。

  - 远程攻击者可利用 Newsbeuter 0.7 到 2.9 版本书签功能中操作系统命令所使用的特殊元素的不正确中和，通过构建在其标题和/或 URL 中包含 shell 代码的 RSS 项以执行用户协助的代码。(CVE-2017-12904)

  - 远程攻击者可利用 Newsbeuter 0.3 到 2.9 版本 Podbeuter 的播客回放功能中操作系统命令所使用的特殊元素的不正确中和，通过构建带有媒体附件（即播客文件）的 RSS 项以执行用户协助的代码，该媒体附件在其文件名中包含 shell 元字符，与 pb_controller.cpp 和 queueloader.cpp 相关，此漏洞不同于 CVE-2017-12904。(CVE-2017-14500)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

遠端主機受到 GLSA-201801-18 中所述的弱點影響 (Newsbeuter：使用者協助的任意程式碼執行) 加入書籤時，Newsbeuter 未正確逸出 RSS 摘要標題和說明中的殼層元字元。影響：遠端攻擊者可引誘使用者開啟含有特製 URL 的摘要，進而可能以執行應用程式的使用者權限執行任意殼層命令。因應措施：目前尚無已知的因應措施。

Jeriko One氏は、テキストモードのRSSフィードリーダーであるNewsbeuterが、ニュース記事をブックマークするときに、タイトルや説明を適切にエスケープしないことを発見しました。これにより、リモート攻撃者がクライアントマシン上で任意のシェルコマンドを実行する可能性があります。

このnewsbeuterの更新では、1つの問題を修正します。

以下のセキュリティの問題が修正されました。

  - CVE-2017-12904：特殊要素の不適切な無効化により、リモートの攻撃者が、タイトルおよび/またはURLにシェルコードを含むRSSアイテムを細工することで、ユーザー支援コードを実行することが可能でした。（bsc#1054578）

ID	名稱	產品	系列	已發布	已更新	嚴重性
102596	Debian DLA-1061-1 : newsbeuter security update	Nessus	Debian Local Security Checks	2017/8/21	2021/1/11	high
106117	GLSA-201801-18 : Newsbeuter: User-assisted execution of arbitrary code	Nessus	Gentoo Local Security Checks	2018/1/18	2018/6/7	high
141537	Ubuntu 16.04 LTS : Newsbeuter vulnerabilities (USN-4585-1)	Nessus	Ubuntu Local Security Checks	2020/10/19	2024/8/27	high
141537	Ubuntu16.04LTS: Newsbeuterの脆弱性 (USN-4585-1)	Nessus	Ubuntu Local Security Checks	2020/10/19	2024/8/27	high
102596	Debian DLA-1061-1: Newsbeuterセキュリティ更新	Nessus	Debian Local Security Checks	2017/8/21	2021/1/11	high
106117	GLSA-201801-18：Newsbeuter：ユーザー支援による任意のコードの実行	Nessus	Gentoo Local Security Checks	2018/1/18	2018/6/7	high
102599	Debian DSA-3947-1：newsbeuter - 安全更新	Nessus	Debian Local Security Checks	2017/8/21	2021/1/4	high
102596	Debian DLA-1061-1：newsbeuter 安全更新	Nessus	Debian Local Security Checks	2017/8/21	2021/1/11	high
141537	Ubuntu 16.04 LTS：Newsbeuter 弱點 (USN-4585-1)	Nessus	Ubuntu Local Security Checks	2020/10/19	2024/8/27	high
102599	Debian DSA-3947-1：newsbeuter - 安全性更新	Nessus	Debian Local Security Checks	2017/8/21	2021/1/4	high
106117	GLSA-201801-18：Newsbeuter：受用户协助的任意代码执行	Nessus	Gentoo Local Security Checks	2018/1/18	2018/6/7	high
102596	Debian DLA-1061-1：newsbeuter 安全性更新	Nessus	Debian Local Security Checks	2017/8/21	2021/1/11	high
102599	Debian DSA-3947-1 : newsbeuter - security update	Nessus	Debian Local Security Checks	2017/8/21	2021/1/4	high
106222	openSUSE Security Update : newsbeuter (openSUSE-2018-62)	Nessus	SuSE Local Security Checks	2018/1/22	2021/1/19	high
141537	Ubuntu 16.04 LTS：Newsbeuter 漏洞 (USN-4585-1)	Nessus	Ubuntu Local Security Checks	2020/10/19	2024/8/27	high
106117	GLSA-201801-18：Newsbeuter：使用者協助的任意程式碼執行	Nessus	Gentoo Local Security Checks	2018/1/18	2018/6/7	high
102599	DebianDSA-3947-1：Newsbeuter - セキュリティ更新	Nessus	Debian Local Security Checks	2017/8/21	2021/1/4	high
106222	openSUSEセキュリティ更新プログラム：newsbeuter（openSUSE-2018-62）	Nessus	SuSE Local Security Checks	2018/1/22	2021/1/19	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high